ISO 27002:2022, Kontrolle 5.33 – Schutz von Aufzeichnungen

Allgemeine Leitlinien zur Kontrolle 5.33

Kontrolle 5.33 erkennt an, dass ein Die Bedürfnisse der Organisation sind fließend wenn es um die Menge und Art der Aufzeichnungen geht, die erforderlich sind, um von einem Tag auf den anderen Geschäfte abzuwickeln.

Daher kategorisiert Control 5.33 die Datensatzverwaltung in vier Hauptattribute:

1. Authentizität
2. Zuverlässigkeit
3. Integrität
4. Benutzerfreundlichkeit

Im Rahmen dieser Attribute fordert Control 5.33 Organisationen dazu auf:

1. Entwerfen und veröffentlichen Sie Richtlinien, die sich mit vier Hauptfunktionen befassen, sowie themenspezifische Richtlinien, die auf die zugrunde liegende Natur der betreffenden Datensätze eingehen:
   
   a) Plattenspeicher
   b) Datenverarbeitungskette
   c) Entsorgung von Schallplatten
   d) Manipulationen verhindern
2. Führen Sie einen Aufbewahrungsplan für funktionale Aufzeichnungen ein, der klar umreißt, wie lange Aufzeichnungen unterschiedlicher Art in Bezug auf ihre individuelle Geschäftsfunktion aufbewahrt werden sollten.
3. Erstellen Sie Lager- und Handhabungsverfahren, die Folgendes berücksichtigen:
   
   a) alle geltenden Gesetze, die sich mit der Führung von Geschäftsunterlagen befassen
   b) „Gemeinschafts- und gesellschaftliche“ Erwartungen an den Umgang einer Organisation mit ihren Aufzeichnungen
4. Implementieren Sie Verfahren, die Aufzeichnungen auf sichere und angemessene Weise vernichten, sobald sie nicht mehr benötigt werden (nach Ablauf der Aufbewahrungsfrist).
5. Klassifizieren Sie Datensätze zum Schutz (einschließlich angemessener Aufbewahrungsfristen und verwendeter Speichermedien) basierend auf ihr Sicherheitsrisikound verschiedene Arten, einschließlich (aber nicht beschränkt auf):
   
   a) Buchführung
   b) Geschäftliche Transaktionen
   c) Persönliche Rekorde
   d) Rechtsakten
6. Stellen Sie sicher, dass alle Speicherverfahren einen akzeptablen Zeitrahmen für den Abruf vorsehen, falls die Organisation gebeten wird, sie von Dritten oder für den internen Gebrauch bereitzustellen.
7. Wenn elektronische Medien zum Speichern von Aufzeichnungen verwendet werden, sollten Sie die Möglichkeit in Betracht ziehen und mindern, dass der Zugriff auf oder das Abrufen von Aufzeichnungen durch technische Änderungen, einschließlich der Aufbewahrung kryptografischer Informationen, behindert wird (siehe Kontrolle 8.24).
8. Halten Sie sich bei der Speicherung oder Handhabung von Aufzeichnungen auf oder über elektronische Medien an die Richtlinien des Herstellers, einschließlich angemessener Berücksichtigung der natürlichen Verschlechterung dieser Medien.

Änderungen und Unterschiede zu ISO 27002:2013

27002:2022-5.33 ersetzt 27002:2013-18.1.3 (Schutz von Aufzeichnungen) mit diversen Ergänzungen in Form einzelner Leitlinien und allgemeiner Prozesse, die eingehalten werden müssen.

In der Kontrolle 2022 erkennt die ISO an, wie wichtig es ist, zu definieren, was eine Geschäftsaufzeichnung darstellt. 27002:2022-5.33 enthält zahlreiche Beispiele dafür, was ISO unter einem Datensatz versteht (siehe oben), die in 27002:2013-18.1.3 fehlen.

Control 5.33 lenkt die Aufmerksamkeit einer Organisation auch auf zwei Hauptleitpunkte, die nicht in ihrem Gegenstück aus dem Jahr 2013 enthalten sind (Richtlinien 1 und 2 oben), die wiederum die Grundlage der Aufzeichnungsrichtlinie einer Organisation bilden – insbesondere einen Aufbewahrungsplan, der vorschreibt, wie Es sollten lange Aufzeichnungen über alle medienspezifischen Anforderungen aufbewahrt werden.

Auch im Records Management halten Metadaten erstmals Einzug. 27002:2013-18.1.3 enthält keine Erwähnung davon, während 27002:2022-5.33 es als „wesentlichen Bestandteil“ betrachtet.

Wie ISMS.online hilft

Nutzung von ISMS.online Sie können:

• Implementieren Sie schnell eine Informationssicherheits-Managementsystem (ISMS).
• Pflege- Verwalten Sie die Dokumentation Ihres ISMS.
• Optimieren Sie die Einhaltung aller relevanten Standards.
• Verwalten Sie alle Aspekte der Informationssicherheit, vom Risikomanagement bis zum Sicherheitsbewusstseinstraining.
• Kommunizieren Sie effektiv in Ihrem gesamten Unternehmen mit unserer integrierten Kommunikationsfunktion.

Nehmen Sie noch heute Kontakt mit uns auf Demo buchen.